← 返回博客

安全简报，2026年4月12日：Webloc 监控、加密诈骗打击行动、Marimo RCE、暴露的 Rockwell PLC 与 Chrome 147

今天早上的模式非常清楚：位置数据、被盗资金、暴露的工业系统，以及几乎归零的补丁窗口。唯一理性的回应就是更快地加固。

---

---

1. Webloc 说明广告技术残留如何变成国家级监控

Citizen Lab 表示，Webloc 平台在 Cobwebs 合并后由 Penlink 销售，它利用源自广告生态的定位数据，帮助执法和情报客户在全球追踪约 5 亿台设备。关键点在于，普通应用遥测数据因此变成了一层用户几乎看不见的隐蔽监控能力。

• 梳理哪些移动应用和 SDK 正在泄露高精度定位数据。
• 尽可能收紧移动端隐私设置和广告标识符暴露。
• 把数据经纪商和广告技术依赖纳入正式威胁模型。

---

2. 调查人员识别出超过 2 万名加密诈骗受害者

由英国国家打击犯罪局牵头的协调执法行动，在加拿大、英国和美国识别出超过 2 万名加密货币诈骗受害者。问题不只是诈骗规模，而是犯罪基础设施如何在跨国范围内高效扩张，而受害者往往连去哪里报案都不知道。

• 更新财务和客服团队的诈骗上报流程。
• 在安全意识培训中加入钱包清空、虚假投资和冒充诱饵。
• 一旦怀疑存在诈骗，尽早保留交易所、钱包和支付侧遥测。

---

3. Marimo CVE-2026-39987 在披露后不到 10 小时即被利用

Sysdig 观察到，Marimo 的预认证远程代码执行漏洞在公开披露后不到 10 小时就被攻击者利用。存在问题的 /terminal/ws WebSocket 端点可让未认证攻击者在暴露的 notebook 环境中获得交互式 shell。对于任何面向互联网的服务，公告到利用的窗口基本已经消失。

• 立即修补 Marimo，并将暴露的 notebook 服务移出公网。
• 排查针对 /terminal/ws 的可疑 WebSocket 活动。
• 默认认为暴露的开发工具必须在披露当天完成补丁。

---

4. 美国仍有数千台 Rockwell PLC 暴露在互联网上

BleepingComputer 报道称，与伊朗有关的针对美国关键基础设施的行动，与一个非常现实的 OT 暴露问题重合：美国近 4,000 台可从互联网访问的 Rockwell 和 Allen-Bradley PLC，全球则超过 5,000 台。暴露的控制器不是理论风险，而是明确邀请。

• 将 PLC 管理界面移到防火墙或私有访问路径之后。
• 审查 OT 日志，寻找异常远程访问和来自海外的流量。
• 关闭未使用的远程服务，并实施抗钓鱼的管理员访问。

---

5. Chrome 147 修复了 60 个漏洞，其中包括两个严重缺陷

SecurityWeek 报道称，Chrome 147 修复了 60 个安全问题，其中包括浏览器 WebML 组件中的两个严重漏洞。浏览器打补丁听起来很无聊，直到它成为阻断利用链和迎来糟糕周一之间的差别。

• 尽快在受管终端中推送 Chrome 更新。
• 验证重启合规性，不要假设补丁已经生效。
• 关注承包商和 BYOD 终端中的未打补丁浏览器群体。

---

安全团队今天应该做什么

1. 审计移动数据和广告技术暴露，而不只是恶意软件暴露。
2. 在下一起钱包被清空事件打到客服前，先演练诈骗升级路径。
3. 对暴露的开发工具在披露当天打补丁，不要拖到下个迭代。
4. 把互联网暴露的 OT 视为紧急积压项，而不是技术债。
5. 快速推送浏览器更新，并验证补丁确实落地。

---

本简报跟踪的来源：The Hacker News 转述的 Citizen Lab 研究，以及 2026 年 4 月 10 日至 11 日发布的 BleepingComputer 和 SecurityWeek 报道。